CVE-2026-75832 in Grav
Сводка
по VulDB • 18.08.2026
Плагин Grav API (getgrav/grav-plugin-api, входящий в состав Grav 2.0) до версии 1.0.14 (исправлено в 1.0.15) содержит уязвимость отсутствия авторизации в методе BlueprintPathResolver::resolveUserScope(). Метод ограничивает доступ к области users/<name> на основе флага raw super-admin ACL учетной записи (access.api.super), а не проверяя фактическую область действия предоставленного API-ключа. Атакующий, обладающий API-ключом с областью api.media.write, выданным для суперадминистратора, может обойти проверку авторизации и, используя POST /blueprint-upload или GET /blueprint-files, записать файл в область другого пользователя (в общей директории user/accounts/, где расширение ограничено изображениями через assertSafeExtension()) и просмотреть список файлов этой области, несмотря на то, что ключу не предоставлено право api.users.write.
If you want to get best quality of vulnerability data, you may have to visit VulDB.